linux user group brescia

On Mon, 22 Jan 2001, Donzella Antonietta wrote:

> 
> On Mon, 22 Jan 2001, marco gh wrote:
> 
> > se fai un ifconfig sul server web cosa risulta??
> > 
> > 
> 
> risulta una cosa del genere:
> 
> 
> eth0      Link encap:Ethernet  HWaddr **:**:**:**:**:**
>           inet addr:192.167.22.***  Bcast:192.167.22.255 Mask:255.255.255.0
>           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
>           RX packets:14225260 errors:280 dropped:0 overruns:324 frame:280
>           TX packets:4496233 errors:0 dropped:0 overruns:0 carrier:29
>           collisions:433012 txqueuelen:100 
>           Interrupt:10 Base address:0x300 
> 
> lo        Link encap:Local Loopback  
>           inet addr:127.0.0.1  Mask:255.0.0.0
>           UP LOOPBACK RUNNING  MTU:3924  Metric:1
>           RX packets:576863 errors:0 dropped:0 overruns:0 frame:0
>           TX packets:576863 errors:0 dropped:0 overruns:0 carrier:0
>           collisions:0 txqueuelen:0 
> 
> 
> eth0:1    Link encap:Ethernet  HWaddr  **:**:**:**:**:**  
>           inet addr:192.167.22.1  Bcast:1.2.3.4  Mask:255.255.255.0
>           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
>           Interrupt:10 Base address:0x300 
> 
> eth0:2    Link encap:Ethernet  HWaddr  **:**:**:**:**:** 
>           inet addr:192.167.22.2  Bcast:1.2.3.4  Mask:255.255.255.0
>           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
>           Interrupt:10 Base address:0x300 
> 
> eth0:3    Link encap:Ethernet  HWaddr  **:**:**:**:**:** 
>           inet addr:192.167.22.3  Bcast:1.2.3.4  Mask:255.255.255.0
>           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
>           Interrupt:10 Base address:0x300 
> 
> e cosi' via fino a etho:254...
> 
> **:**:**:**:**:** e' l'indirizzo ethernet, 192.167.22.*** l'indirizzo
> internet della nostra macchina)
> 
> Servono altre informazioni?
> grazie     AD
> -- 
> Antonietta Donzella
> Universita' degli Studi di Brescia
> Dipartimento di Chimica e Fisica per l'Ingegneria  e per i Materiali
> Facolta' di Ingegneria
> Via Valotti 9 - 25133 Brescia Italy
> Tel: +39-030-3715703
> Fax: +39-030-2091271
> 
> 
> 


Questo è il classico effetto che succede quando viene caricato il
"mirkforce" su un qualsiasi server, questo programma crea una miriade di
cloni che vengono utilizzati in ircwar per takkare dei canali"appropriandosi" 
di tutti gli ip della subnet del server bucato.

Direi di fare un controllo approfondito di tutti i binari interessati come
ls, netstat, ps, pstree, ecc.. e magari anche di provare a fare un
controllo a macchina off-line con un kernel *NON* modulare compilato
appositamente (nel senso riscaricato da kernel.org, non quello che gia è
installato sulla macchina).

meti.